Meldplicht datalekken

Androidworld meldt dat aanvallers via Metabase accountgegevens van ruim 5.000 gebruikers konden opvragen. De hashmethode is niet bekend. Het incident laat zien waarom toegangsrechten, wachtwoordrotatie en AVG-beoordeling samen horen.

Het datalek bij Trezors verzendpartner ShipMonk raakt 67.000 Amerikaanse klanten meer dan gemeld, met bestelgegevens uit 2019 tot 2021 die volgens contract allang gewist hadden moeten zijn. De les gaat over verwerkersovereenkomsten.

Dustin haalt na een inbraak op interne systemen delen van zijn IT-omgeving offline. Klanten kunnen niets bestellen en leveringen liggen stil tot naar verwachting begin volgende week. Of klantgegevens zijn geraakt, is onbekend.

Hackers kwamen tussen 4 en 21 augustus bij ongeveer 5.000 Dropbox-accounts binnen via een lek in de Lenovo-inlog, zonder wachtwoord. Wat dat betekent voor je bestanden, je gedeelde mappen en je meldplicht.

McKesson noemt voor het eerst welke divisies geraakt zijn en biedt getroffen klanten kredietbewaking aan. TechCrunch verifieerde een deel van de gestolen dataset. Voor iedereen in de keten begint daarmee de vraag naar de meldplicht.

Alation bevestigt een cyberaanval op een van zijn systemen, twee dagen na een storing bij klanten. Aanvalsmethode en aantallen ontbreken, terwijl de catalogus de weg wijst naar alle data van een organisatie.

Bestel je vandaag bij De Bijenkorf, dan komt het pakket pas vanaf 4 september. De bezorgbelofte schoof in vijf dagen ruim twee weken verder op, terwijl CEVA nog altijd zwijgt over het herstel.

Een zeroday met de maximale CVSS-score van 10.0 in analysetool Metabase legde de klantgegevens van laptopmaker Framework bloot. Zelf gehoste installaties vanaf versie 1.58 zijn nog steeds kwetsbaar en moeten direct bijwerken.

ING meldt dat gegevens van klanten van ING Punten mogelijk zijn ingezien bij een inbraak op de systemen van een logistieke partner. De buit van dezelfde hack wordt volgens RTL Nieuws inmiddels op het dark web verkocht.

Een hack kostte muziekwinkel Atelier Pfeiffer uit Rijswijk zijn Facebook-pagina, en Meta blijkt geen aanspreekbaar loket. Wat de officiële herstelroute echt biedt, en welke voorzorg wel in eigen hand ligt.

Estée Lauder meldt dat aanvallers via een kritiek lek in Oracle E-Business Suite personeelsdata stalen, onderdeel van de brede Cl0p-golf. Elk bedrijf dat EBS voor HR of finance draait, loopt hetzelfde risico.

Ernst & Young meldt een datalek na een hack van een extern supportsysteem van zijn fiscale praktijk, waarbij belastingdocumenten van klanten werden blootgesteld. Het incident toont hoe je fiscale data ook risico loopt bij de leveranciers van je adviseur.

Zelfs de Belastingdienst, die het BSN bij wet mag gebruiken, moet ermee stoppen waar het niet nodig is. Welke identiteitsgegevens je app uitvraagt is geen technisch detail, maar de grootste knop op je eigen aansprakelijkheid.

Bij Accenture kwamen broncode en cloudsleutels te koop te staan. De les zit niet in het certificaat van je IT-leverancier, maar in de accounts en sleutels die zijn mensen in jouw systemen hebben.

Je screent de beveiliging van je IT-leverancier, maar je accountant beheert dezelfde gevoelige data met vaak zwakkere beveiliging en blijft buiten je risicoanalyse. De Ernst & Young-hack laat zien waarom dat het echte gat is.

Je komt niet meer in je Facebook-pagina, Instagram of Google Workspace. Dit is de uitvoerbare herstelroute per platform, in de volgorde die bepaalt of je het terugkrijgt, plus het opruimwerk daarna.

Een kernlek in WordPress wordt binnen uren misbruikt. Deze gids loopt eerst de sporencheck af (ben je al binnen geweest?) en bouwt daarna de routine: gelaagde auto-updates, staging, pluginaudit en monitoring.